152-ФЗ и облачная бухгалтерия: как защищены персональные данные клиентов

152-ФЗ и облачная бухгалтерия совместимы: закон не запрещает хранить персональные данные в облаке, он требует хранить их в России и защищать. Любая бухгалтерия — это работа с персональными данными: паспорта, СНИЛС, зарплаты. С 30 мая 2025 года штраф за их утечку для компании доходит до 15 млн ₽, а за повторную — до 3% годовой выручки. Разберём, что именно требует закон, кто отвечает за данные в облаке и как облачная 1С закрывает эти требования.

Почему бухгалтерия — это всегда персональные данные

Персональные данные (ПДн) — любые сведения, по которым можно определить человека. В базе 1С их почти всегда много, даже у ИП с одним сотрудником.

Вот что обычно лежит в бухгалтерской и кадровой базе:

• ФИО, дата рождения, адрес, паспорт, СНИЛС и ИНН сотрудников;
• зарплаты, удержания, банковские реквизиты для выплат;
• больничные, сведения об инвалидности, данные о детях для вычетов;
• данные клиентов и контрагентов — физических лиц: покупателей, арендодателей, исполнителей по договорам ГПХ.

Больничные и справки с диагнозами — это специальные категории ПДн, сведения о здоровье. Если вы ведёте зарплату в 1С:ЗУП, такие данные у вас, скорее всего, есть.

152-ФЗ и облачная бухгалтерия: что требует закон простыми словами

Закон делает компанию оператором персональных данных — тем, кто решает, зачем и как их обрабатывать. У оператора четыре главные обязанности.

1. Законное основание. Обрабатывать ПДн можно по договору, по требованию закона или с согласия человека (ст. 6 и ст. 9). Для оформления сотрудника по Трудовому кодексу согласие не нужно. Если согласие всё-таки требуется, с 1 сентября 2025 года его оформляют отдельным документом, а не пунктом в трудовом договоре или анкете.
2. Хранение в России. Часть 5 статьи 18 запрещает записывать, хранить и обновлять ПДн граждан РФ в базах данных за пределами страны. С 1 июля 2025 года норма звучит как прямой запрет.
3. Защита. Статья 19 обязывает принимать меры защиты: правовые, организационные, технические. Детали — в подзаконных актах: Постановление Правительства № 1119 задаёт четыре уровня защищённости, приказ ФСТЭК № 21 перечисляет меры для каждого уровня (ФСТЭК готовит ему замену), требования ФСБ касаются шифрования.
4. Уведомление Роскомнадзора. Статья 22 требует подать уведомление до начала обработки. После 2022 года исключений почти не осталось: если вы ведёте учёт в 1С, уведомление подать нужно. При утечке закон даёт 24 часа на первое сообщение в Роскомнадзор и 72 часа на результаты расследования (ч. 3.1 ст. 21).

Кто отвечает за данные в облаке: бизнес или провайдер?

Оператором остаётесь вы, а облачный провайдер обрабатывает данные по вашему поручению. Ответственность делится, но с вас она не снимается.

Поручение на обработку ПДн — это раздел договора или отдельное соглашение, по которому провайдер работает с вашими данными от вашего имени (ч. 3 ст. 6). Закон прямо перечисляет, что в нём должно быть:

• какие данные и с какой целью обрабатываются, какие действия с ними разрешены;
• обязанность хранить данные в России и соблюдать конфиденциальность;
• меры защиты по ст. 19;
• обязанность сообщить вам об утечке и подтвердить принятые меры документами.

Как делится ответственность, закон тоже говорит прямо (ч. 5 ст. 6). Перед сотрудником или клиентом, чьи данные утекли, отвечаете вы. Провайдер отвечает перед вами — по договору. Поэтому поручение нужно прежде всего вам: без него провайдеру нечего предъявить.

Одна деталь, которую стоит обсудить с юристом. По ч. 3 ст. 6 для поручения нужно согласие человека, если закон не разрешает обойтись без него. Роскомнадзор в своих разъяснениях по данным работников относит к таким случаям передачу кадрового и бухгалтерского учёта сторонней организации. Для бухгалтера на аутсорсе вопрос особенно острый: он обрабатывает данные чужих сотрудников и сам работает по поручению клиента.

Как облако защищает персональные данные

Облачная 1С безопасность данных обеспечивает на уровне здания, сети и базы — то, что офисному серверу взять неоткуда. Вот из чего складывается защита у профильного провайдера.

Дата-центр в России. Дата-центр (ЦОД) — специальное здание для серверов: охрана, контроль доступа, резервное питание и охлаждение. Подробнее — в статье что такое Tier-III дата-центр и почему это важно для вашей 1С.

Уровень защищённости. Информационная система персональных данных (ИСПДн) — всё, где хранятся и обрабатываются ПДн, в том числе сервер с вашей базой 1С. Уровень её защищённости (от 1-го, самого строгого, до 4-го) зависит от состава данных и определяет набор обязательных мер.

Шифрование каналов. Данные между вашим компьютером и сервером идут по зашифрованному соединению — перехватить их по дороге нельзя.

Разграничение доступа. У каждого пользователя свой логин и свои права: кадровик видит кадры, кладовщик — склад. Сотрудники провайдера обслуживают серверы, но в базы не входят.

Журналирование. Система фиксирует, кто и когда входил и что делал. Это требование ст. 19 и главный инструмент расследования, если что-то пошло не так.

Резервное копирование. Закон требует уметь восстанавливать данные после сбоя или атаки. Бэкап (резервная копия) — сохранённая копия базы; важно хранить копии долго и отдельно от основного сервера.

Например, в Onescloud серверы стоят в московском дата-центре уровня Tier-III, каналы зашифрованы, персонал не имеет доступа к содержимому баз, а ежедневные копии хранятся 180 дней на отдельном оборудовании — при типичных для рынка 7–14 днях. Как выбрать глубину хранения копий, мы разбирали в статье «Резервное копирование 1С: как часто нужны бэкапы и сколько их хранить».

Локальный сервер против облака: где ПДн защищены лучше

В малом бизнесе база на офисном сервере обычно защищена хуже, чем в облаке у профильного провайдера. «Свой компьютер под рукой» создаёт ощущение контроля, но меры по ст. 19 при этом чаще всего не выполняются.

Что требует закон или здравый смысл	Сервер в офисе малого бизнеса	Облако у профильного провайдера
Защита от кражи и пожара	Системный блок в кабинете, дверь на ключ	Охраняемый дата-центр, контроль доступа
Резервные копии	Делают вручную, если не забыли, часто на тот же диск	Ежедневно, автоматически, на отдельном оборудовании
Шифрование соединения	Удалённый доступ часто открыт «как получилось»	Зашифрованные каналы — стандарт
Журнал действий и права	Один пароль на всех	Свои учётные записи и права у каждого
Хранение в России	Да	Да — если провайдер это подтверждает договором

Честная оговорка: собственный сервер оправдан, если у компании есть своя ИТ-служба, бюджет на средства защиты и специалист, который отвечает за них лично. Тогда контроль действительно выше. Остальные страхи мы разобрали в статье «Мифы об облачной 1С: развенчиваем главные страхи бизнеса».

Что грозит за нарушения: штрафы и ответственность

С 30 мая 2025 года штрафы за утечки считаются по числу пострадавших, а за повторную утечку — от выручки. Индивидуальные предприниматели по большинству этих составов отвечают так же, как компании.

Нарушение	Штраф для компании (ст. 13.11 КоАП)
Не подано уведомление в Роскомнадзор	100–300 тыс. ₽
Обработка без законных оснований	150–300 тыс. ₽, повторно — 300–500 тыс. ₽
Обработка без согласия, когда оно обязательно	300–700 тыс. ₽, повторно — 1–1,5 млн ₽
Не сообщили Роскомнадзору об утечке	1–3 млн ₽
Данные хранятся за пределами РФ	1–6 млн ₽, повторно — 6–18 млн ₽
Утечка: от 1 000 до 10 000 человек	3–5 млн ₽
Утечка: от 10 000 до 100 000 человек	5–10 млн ₽
Утечка: более 100 000 человек	10–15 млн ₽
Утечка специальных категорий (например, сведений о здоровье)	10–15 млн ₽
Повторная утечка	1–3% выручки, от 20 до 500 млн ₽ (для специальных категорий — от 25 млн ₽)

Закон поощряет тех, кто вкладывается в защиту. Если три года подряд компания тратила на информационную безопасность не меньше 0,1% выручки и может это подтвердить, оборотный штраф снижается в десять раз.

Кроме штрафов, с декабря 2024 года действует уголовная ответственность за незаконный оборот персональных данных (ст. 272.1 УК РФ): по основному составу — до четырёх лет лишения свободы. Она касается тех, кто торгует или пользуется украденными базами, а не компаний, у которых эти данные украли.

Чек-лист: как выбрать облачную бухгалтерию и не нарушить 152-ФЗ

Защищённая облачная бухгалтерия проверяется пятью вопросами к провайдеру до подписания договора.

Вопрос провайдеру	Хороший ответ
Где физически стоят серверы и копии?	Назван город в России, это записано в договоре
Какого уровня дата-центр?	Уровень назван; про сертификат провайдер говорит честно — есть он или нет
Есть ли в договоре поручение на обработку ПДн?	Да, с перечнем мер защиты и обязанностью сообщать об утечках
Как устроены резервные копии?	Ежедневно, срок хранения назван, копии на отдельном оборудовании
Кто имеет доступ к базе?	Только ваши пользователи со своими правами; действия фиксируются

Больше вопросов — про цену, поддержку, возврат базы — собрано в статье «Как выбрать провайдера облачной 1С: 10 вопросов, которые нужно задать». И посмотрите отзывы клиентов: они показывают, как провайдер ведёт себя в сложных ситуациях.

Кому облако подходит, а кому — свой сервер

Облачная 1С для бухгалтерии подойдёт, если:

• у вас нет штатного специалиста по безопасности и своей серверной;
• в базе есть зарплата и кадры, а значит, паспорта, СНИЛС и больничные — например, в 1С:ЗУП в облаке;
• вы бухгалтер на аутсорсе и ведёте базы нескольких клиентов — например, в 1С:Бухгалтерии в облаке;

Стоит рассмотреть собственный сервер, если:

• у компании есть своя ИТ-служба и бюджет на средства защиты;
• внутренние правила или требования крупного заказчика запрещают размещать данные у третьих лиц.

Частые вопросы

Законно ли хранить бухгалтерию с персональными данными в облаке?

Да. 152-ФЗ не запрещает облако — он требует хранить данные граждан РФ на серверах в России, защищать их и оформить отношения с провайдером поручением на обработку. Выполнено это — облако законно.

Кто отвечает за утечку — я или провайдер?

Перед человеком, чьи данные утекли, и перед Роскомнадзором отвечаете вы как оператор. Провайдер отвечает перед вами по договору. Поэтому меры защиты и порядок сообщения об утечке важно записать в поручение.

Нужно ли согласие сотрудников на обработку их данных?

Для оформления трудовых отношений по Трудовому кодексу — нет. Согласие нужно для обработки сверх этого: например, чтобы передать данные третьим лицам или опубликовать фото на сайте.

Обязательно ли уведомлять Роскомнадзор?

Почти всегда да: если вы обрабатываете данные с помощью компьютера, в том числе в 1С, уведомление подают до начала обработки. Провайдер, который работает по вашему поручению, своё уведомление за вас не подаёт.

Можно ли хранить данные на зарубежных серверах?

Основную базу — нельзя: закон прямо запрещает хранить и обновлять данные граждан РФ в базах за границей. Передать данные за рубеж можно только в отдельных случаях и после отдельного уведомления Роскомнадзора (ст. 12).

Что проверить в договоре с облачным провайдером?

Страну размещения серверов и копий, раздел о поручении на обработку ПДн, меры защиты, срок и порядок сообщения об утечке, срок хранения резервных копий и порядок возврата базы при расторжении договора.

Коротко о главном

Облачная бухгалтерия и 152-ФЗ не противоречат друг другу. Закону важно, чтобы данные хранились в России, были защищены и чтобы роли были закреплены в договоре: вы — оператор, провайдер — обработчик по поручению.

Проверьте это на своей базе: оформите бесплатный доступ на 14 дней, карта не нужна.

Статья носит информационный характер и не является юридической консультацией. Нормы и суммы штрафов приведены по состоянию на 23 сентября 2026 года. Для решений по вашей компании обратитесь к юристу.

Источники

Нормы в статье сверены 23 сентября 2026 года по действующим редакциям.

Закон о персональных данных (152-ФЗ)

• Статья 6 — основания обработки, поручение на обработку, ответственность.
• Статья 9 — согласие на обработку. Требование оформлять согласие отдельным документом с 1 сентября 2025 года ввёл Федеральный закон № 156-ФЗ от 24.06.2025.
• Статья 12 — передача данных за рубеж.
• Часть 5 статьи 18 — хранение данных в России. Действующую редакцию с 1 июля 2025 года ввёл Федеральный закон № 23-ФЗ от 28.02.2025.
• Статья 19 — меры защиты.
• Часть 3.1 статьи 21 — сообщение Роскомнадзору об утечке за 24 и 72 часа.
• Статья 22 — уведомление Роскомнадзора об обработке.

Требования к защите

• Постановление Правительства РФ № 1119 от 01.11.2012 — уровни защищённости.
• Приказ ФСТЭК России № 21 от 18.02.2013 — меры защиты для каждого уровня. Проект приказа ему на замену опубликован 24 июля 2026 года.
• Приказ ФСБ России № 378 от 10.07.2014 — требования к шифрованию.

Ответственность

• КоАП РФ, статья 13.11 — штрафы. Суммы с 30 мая 2025 года ввёл Федеральный закон № 420-ФЗ от 30.11.2024.
• КоАП РФ, часть 3.4-2 статьи 4.1 — снижение оборотного штрафа.
• УК РФ, статья 272.1 — незаконный оборот персональных данных. Статью ввёл Федеральный закон № 421-ФЗ от 30.11.2024.

Данные сотрудников

• Трудовой кодекс РФ, статья 86 и статья 88 — обработка и передача данных работника.
• Разъяснения Роскомнадзора по обработке персональных данных работников.